[Qt4+PostgreSQL] Электронная цифровая подпись по ГОСТ Р чото там

Разъясняем: библиотек (бесплатных), которые бы работали с ГОСТом - нету. Та же openssl 1.o не сертифицирована и никакая госприемка не будет принимать решения на ее основе. Все остальные решения платные (ведь надо же платить за сертификацию и прочие откаты) и стоят хороших денег. Как вариант - покупать какую-то хорошую либу для работы с кривыми (типа miracl) и писать функционал самому, если это очень надо (исходники есть) - опять же, смотря для каких целей, тоже может не прокатить. Кстати, с постгресом госконторам вообще не рекомендуют работать через кутешный драйвер, лучше через нативную либу, которая поддерживает мандатные метки. А для чего вообще нужен такой функционал?

1. Есть патч на OpenSSL 0.9.8. 2. У крипто-про есть Java и .NET реализация 3. Есть аппаратные ключи

хм... всё понятно и по полочкам.

А для чего вообще нужен такой функционал?

Медицинская информационная система. Qt4 + СУБД (пока MS SQL, но хачу плавно мигрировать на PostgreSQL 8). Самая мулька, что ФСТЭК сертифицирован PostgreSQL 7.6 или 7.4, в общем, старая версия, а 8 --- нифига. Вот как жыть после этого всего?..

1. Есть патч на OpenSSL 0.9.8. 2. У крипто-про есть Java и .NET реализация 3. Есть аппаратные ключи

Ну в общем, как мне это всё подружить с вышеприведённой платформой? Положим даже, что купить решение для ЭЦП не проблема. Вообще, в ту ли сторону смотрю?

СУБД тут не при чём. Собственно, как и КуТи.
Под SSL, вроде-бы, пробегала информация, что поддержку ГОСТ для неё реализовали.
Вам надо данные шифровать/расшифровывать при помощи SSL.
А дальше уже делать с ними что угодно.

>>Медицинская информационная система. Qt4 + СУБД (пока MS SQL, но хачу плавно мигрировать на PostgreSQL 8). Самая мулька, что ФСТЭК сертифицирован PostgreSQL 7.6 или 7.4, в общем, старая версия, а 8 --- нифига. Вот как жыть после этого всего?..

Да, там старый постгрес версии 7.4. Кстати, а на каком уровне нужно шифрование? Может можно будет обойтись стандартными средствами для защиты от нсд?

Если купить, то http://www.alpha.ru - есть под Linux/Solaris/FreeBSD

> СУБД тут не при чём. Собственно, как и КуТи.

Ну если ЭЦП использовать только для подписывания «документов» --- то да. А если воспользоваться ею как аутентификатором для доступа к СУБД --- тут уже при чём. Хотя я ещё не знаю, нужно ли такое применение ЭЦП в моей задаче.

Основное --- добавление к каждой сущности, которую можно идентифицировать как «документ» реального мира, некоего поля BLOB с зашифрованным хэшем, ага? И эта самая Агава-Про как раз позволяет составлять и проверять этот хэш, так?

> Кстати, а на каком уровне нужно шифрование?

Желательно, на самом «соответствующем» --- ведь в медицинской информационной системе хранятся персонифицированные данные, а сейчас чото их очень любят :) В общем, замахиваемся в кои-то веки в наших деревнях на электронную историю болезни, а ей нужна ЭЦП для подписывания заметок об анамнезе и назначениях в лечении. Кароче, задача серьёзная.

Медицинская информационная система.

С чего вдруг вообще там надо что то шифровать?! Ограничивать доступ - это нужно. Но шифровать данные - вы начальство поставили в известность о своих планах?

Кстати, а на каком уровне нужно шифрование?

Желательно, на самом «соответствующем» -

Вам задали самый правильный вопрос, а Вы, походу, очень далеки от понимания.

Самая мулька, что ФСТЭК сертифицирован PostgreSQL 7.6 или 7.4,

в общем, старая версия, а 8 --- нифига. Вот как жыть

после этого всего?..

самая мулька в том, если вы используете программу сертифицированную из списка не означает что она сертифицирована у вас, и наоборот если вы используете не сертифицированную программу не означает что ее вам нельзя сертифицировать.
Сам факт сертификации добровольный, основной упор идет на лицензионность.

И только если вам нужно передавать шифрованные данные другой государственной организации, вот в этом случае, для шифрования и нужен ГОСТ.

которые бы работали с ГОСТом - нету

есть ГОСТ по ЭЦП от 2006 года для подписи медицинких документов.
Отечественная разработка. Ссылку подтащу по-позже.

Медицинская информационная система.

В какой конторе работаете?
Потому что сам интересуюсь (не занимаюсь ... пока) этим,
но в нашей есть люди, которыe «должны» этим заниматься.

Сам работаю в http://protom.ru/
http://www.news-medical.net/news/20090923/McLaren-Health-Care-and-ProTom-part...

Лечение рака с помошью протонной терапии.
Необходимо сопровождение пациента во время лечения (и после) , с
онологической спецификой : томограммы, дозы, DICOM и пр.,
в том числе и ЭЦП.
Диагноз, назначение курса лечения, само лечение
- подсудное дело. Бумажный экземпляр хранится, по-моему, 75 лет.
ЭЦП может быть и не одна.

Из известных мне программ:
http://www.simple-soft.ru/PatientsCount.htm
http://www.care2x.org/

Если есть другие, поделитесь. E-mail: onuchin at cern.ch
Кто ещё в РФ этим занимается?

В принципе:

google: медицинская электронная подпись гост

Ну если ЭЦП использовать только для подписывания «документов» --- то да. А если воспользоваться ею как аутентификатором для доступа к СУБД --- тут уже при чём.

А, ну тогда pam модуль писать придётся... Впринципе, можно наскоряк на чём-нибудь скриптовом, вроде PERLа.

есть ГОСТ по медицинской ЭЦП от 2006 года

не могу откопать ссылку (задам вопрос коллеге, кто этим занимается)
Но, вот хороший ресурс и ссылки под ним

http://www.enlight.ru/crypto/frame.htm

> С чего вдруг вообще там надо что то шифровать?! Ограничивать доступ - это нужно. Но шифровать данные - вы начальство поставили в известность о своих планах?

Шифровать внутри ИС ничо не надо, надо привязать ответственного за оформление документа к документу. А тут как раз и нужна ЭЦП, и я пока действительно довольно туманно представляю её функциональность (собсна, как представляю, так и написал). Нужно это как раз потому, что «Диагноз, назначение курса лечения, само лечение - подсудное дело.»

> И только если вам нужно передавать шифрованные данные другой государственной организации, вот в этом случае, для шифрования и нужен ГОСТ.

Есть такой ещё ГОСТ Р 52636-2006, «ЭЛЕКТРОННАЯ ИСТОРИЯ БОЛЕЗНИ. Общие положения». Там русским по белому сказано:

7.1.10 Идентификатор автора ЭПМЗ

Обязательный элемент, позволяющий однозначно определить, кто является автором данной медицинской записи и несет ответственность за ее содержание. Автором ЭПМЗ считается именно лицо, несущее ответственность за ее содержание, а не лица, участвовавшие в ее подготовке. Например, автором анализа является врач-лаборант, утвердивший его, а нелаборанты, выполнявшие отдельные тесты (их идентификаторы могут содержаться в других, необязательных элементах ЭПМЗ). Идентификатором может быть ссылка к справочнику сотрудников или набор реквизитов, позволяющий однозначно определить автора ЭПМЗ среди сотрудников данной медицинской организации. При использовании электронной цифровой подписи (ЭЦП) идентификатор автора должен позволить найти сертификат электронной цифровой подписи и проверить его.

7.1.11 Дата и время подписания ЭПМЗ

Обязательный элемент, указывающий, с какого момента ЭПМЗ считается законченной, подписанной и приобретает статус официального медицинского документа. Этот элемент также является признаком статуса записи:

- если дата и время указаны, то ЭПМЗ закончена и доступна другим медицинским работникам в качестве официального медицинского документа;

- если дата и время не указаны, то ЭПМЗ не закончена и является рабочим документом автора или группы сотрудников.

7.1.12 Дайджест

Элемент, полученный методом хэширования содержимого ЭПМЗ и зашифрованный секретным ключом сертификата Электронной цифровой подписи (ЭЦП) лица, подписавшего ЭПМЗ. Дайджест должен быть получен хэшированием всего содержимого ЭПМЗ, включая все прикрепленные файлы и все элементы формализованных данных, с тем чтобы ни один из этих элементов нельзя было изменить, не нарушив целостности ЭЦП. Данный элемент обязателен при использовании ЭЦП.

>есть ГОСТ по ЭЦП от 2006 года для подписи медицинких документов. Отечественная разработка. Ссылку подтащу по-позже.

Вроде это: http://gost4yuo.ru/load/3-1-0-784

В какой конторе работаете?

Красноярская краевая клиническая больница. На удивление у нас в крае пока нету ни одного комплексного решения с электронной историей болезни. Вот работаю над такой штукой.

Много читал про Карельскую Медицинскую информационную систему ( http://kmis.ru ), ранее МИС «Кондопога» (А.В. Гусев). В принципе, у меня пока равнение на неё. Также кое-что слыхал про новосибирскую ДОКА+ (Е.И. Шульман). Больше пока всё :)

давно не прорабатывал этот вопрос
«с электронной историей болезни».
Но, вот наткнулся и оффффигел:
http://www.armit.ru/cmit/armit.html
оказывается даже в РФ много чего есть.
Сейчас шерстю эти ссылки.

>Ну в общем, как мне это всё подружить с вышеприведённой платформой? Положим даже, что купить решение для ЭЦП не проблема. Вообще, в ту ли сторону смотрю?

нет, не в ту. Вопрос: является ли встраивание вызовов функций <любое сертифицированное криптографическое средство> разработкой криптографических средств? И - нужно ли получать лицензию на разработку?

Ответ: да. нужна лицензия на разработку шифровальных средств, в части «защищенных с использованием шифровальных (криптографических) средств информационных и телекоммуникационных систем». Но это на бумаге. по факту тут ПЦ: есть шесть классов криптосредств. Встраивание криптосредств класса КС1 и КС2 осуществляется без контроля со стороны ФСБ России. Но опять же... лицензии нужны. Чтите РД ФСБ Методические рекомендации по использованию СКЗИ в ИСПДн от 21 февраля 2008 года № 149/54-144 и Постановление 957

> Чтите РД ФСБ Методические рекомендации по использованию СКЗИ в ИСПДн

Пасибо за наводку, буду читать и просвещаться :)

>>Желательно, на самом «соответствующем» --- ведь в медицинской информационной системе хранятся персонифицированные данные, а сейчас чото их очень любят :) В общем, замахиваемся в кои-то веки в наших деревнях на электронную историю болезни, а ей нужна ЭЦП для подписывания заметок об анамнезе и назначениях в лечении. Кароче, задача серьёзная.

Тут тогда вопрос скорее в том, а указано ли в постановке вашей задачи требование к шифрованию определенным алгоритмом? Если нет - то не стоит городить велосипеды, выйдет себе же дороже. Если уровень требуемой КС позволяет вести разработку самому - можно и написать, иначе придется покупать.

Есть такой ещё ГОСТ Р 52636-2006, «ЭЛЕКТРОННАЯ ИСТОРИЯ БОЛЕЗНИ.

Общие положения».

Там русским по белому сказано:

«Русским по белому»? да у вас с русским большие проблемы оказывается, не буду копировать приведенный блок, вы бы хотя бы выделили где там про ГОСТ что нибудь.]

Ответ: да. нужна лицензия на разработку шифровальных средств

Так вы уж определитесь сначала, что шифровать собрались?! ЭЦП != «шифрование данных», распечатайте и повесьте себе на видное место.

Опять же насчет шифрования, обязательное шифрование для ЗПД в последних поправках отменили - к тому же не все данные интересны, ваша личная сборка ххх никому не нужна, ФСБ интересуется только данными содержащие гос. тайну, и т.п, читайте что ли газеты.

Внутри своей организации, вы можете использовать какие угодно алгоритмы, но если ваши (так называемые зашифрованные или подписанные) данные должны будут обрабатывать (расшифровывать или подтверждать подпись) другие контрагенты из государственных организаций, только в этом случае вы обязаны обеспечить соответствие используемых алгоритмов по ГОСТ.

> Если нет - то не стоит городить велосипеды, выйдет себе же дороже. Если уровень требуемой КС позволяет вести разработку самому - можно и написать, иначе придется покупать.

Требований к цифрованию нет. Есть требования к подписыванию ЭЦП, и есть большое нежелание использовать для этого что-нить самописное. А коль есь ГОСТ, то почему бы им и не воспользоваться, привлекая средства, уже разработанные до меня? Или это аццки невыгодно?

> «Русским по белому»? да у вас с русским большие проблемы оказывается, не буду копировать приведенный блок, вы бы хотя бы выделили где там про ГОСТ что нибудь.

Про ГОСТ там ничего, ты прав. Но опять же, не хотелось бы изобретать велосипеды и переписывать алгоритмы подписывания и проверки ЭЦП, коль скоро они уже реализованы. Задача стоит испеользовать ЭЦП, и я ищу средства для её решения. По ГОСТу это будет или не по ГОСТу, я так понял, ни закон ни ГОСТ про электронную историю болезни не регламентирует. Но если ГОСТ есть, значит, он кому-нибудь нужен? :)

Собственно, осталась эта неопределённость --- использование ГОСТовских алгритмов ЭЦП настолько нецелесообразно, что тут столько агитации против?

Собственно, осталась эта неопределённость --- использование

ГОСТовских алгритмов ЭЦП настолько нецелесообразно,

что тут столько агитации против?

с чего вдруг? делайте модульно! тренируйтесь сейчас на openssl.
Добавления новых возможностей сведется к минимуму, механизм один и тот же.

http://www.cryptocom.ru/OpenSource/OpenSSL_rus.html

>>Требований к цифрованию нет. Есть требования к подписыванию ЭЦП, и есть большое нежелание использовать для этого что-нить самописное. А коль есь ГОСТ, то почему бы им и не воспользоваться, привлекая средства, уже разработанные до меня? Или это аццки невыгодно?

Тогда ты можешь выбирать любой алгоритм. Просто потренируйся, как уже посоветовали, и выбери то, что будет лучше получаться.

>Так вы уж определитесь сначала, что шифровать собрались?! ЭЦП != «шифрование данных», распечатайте и повесьте себе на видное место.

Постановление Правительства РФ от 29 декабря 2007 г. N 957 2. К шифровальным (криптографическим) средствам (средствам криптографической защиты информации) относятся: в) средства электронной цифровой подписи - аппаратные, программные и аппаратно-программные средства, обеспечивающие на основе криптографических преобразований реализацию хотя бы одной из следующих функций: создание электронной цифровой подписи с использованием закрытого ключа электронной цифровой подписи, подтверждение с использованием открытого ключа электронной цифровой подписи подлинности электронной цифровой подписи, создание закрытых и открытых ключей электронной цифровой подписи;

распечатайте и повесьте себе на видное место.

Внутри своей организации, вы можете использовать какие угодно алгоритмы, но если ваши (так называемые зашифрованные или подписанные) данные должны будут обрабатывать (расшифровывать или подтверждать подпись) другие контрагенты из государственных организаций, только в этом случае вы обязаны обеспечить соответствие используемых алгоритмов по ГОСТ.

епть. чтите доки, они рулез. Хотя вы были бы правы если бы сказали что это не каается персональных данных. Ибо методические рекомендации по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации от 21 февраля 2008 года № 149/54-144 излагают немного другое видение. В разделе «основные положения» говориться о том что «Технические и программные средства должны удовлетворять устанавливаемым в соответствии с законодательством Российской Федерации требованиям, обеспечивающим защиту информации», а в разделе посвященному модели угроз это утвержедние конкретизируется - п 3.1.7 Для обеспечения безопасности персональных данных при их обработке в информационных системах должны использоваться сертифицированные в системе сертификации ФСБ России (имеющие положительное заключение экспертной ор-ганизации о соответствии требованиям нормативных документов по безопасности информации) криптосредства. Бдыщ.

Опять же насчет шифрования, обязательное шифрование для ЗПД в последних поправках отменили - к тому же не все данные интересны, ваша личная сборка ххх никому не нужна, ФСБ интересуется только данными содержащие гос. тайну, и т.п, читайте что ли газеты.

В ЗПД его отменили в таком контексте: если вам _не_нужно_ шифрование то можете его не использовать. Если _нужно_ то использовать надо сертифицированные средства. Так что читайте не только газеты, что ли, но и другую НМД. Тогда будете знать что ФСБ не только гос.тайной интересуется, но и шифрованием. А вот НСД, ПЭМИН и прочее противодействие технической разведке - вотчина ФСТЭК.

У нас пришлось делать связку из unix+windows машин, на юниксе стоит бд и остальное, на венде стоит криптопро, через неё (по тцп-ип) прогоняются документы, на выходе получаем подпись, и уже её загоняем в базу. Проверка - аналогично.

А ключ подписи персональный у каждого ответственного? И они все просто лежат на виндовой машине? Или венда какая то хитро хакнутая с ампутированным админом?

я видел описание ГОСТа именно по электронным подписям для медицинских
документов . Там что-то было на основе RSA + эллиптические функции.

Но закрытую часть ключа физически носить с собой надо ответственному работнику?

Или они (закрытые ключи работников) лежат на какой то выделенной системе с хитрой системой прав? И подпись документов на ней происходит?

Ключ аппаратный, вставляется по необходимости. У нас один, но нет никаких проблем сделать несколько, если по технологии нужно

Ух, узнал много нового :) Спасибо за информацию :)